CVE-2026-8445

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.6%
CWE: CWE-79
KEV Durumu: Hayır

Yayım tarihi: 23 Ağustos 2026

justhtml sürümleri <= 1.11.0 (1.12.0'da düzeltildi) bir parsed belgeyi to_markdown() aracılığıyla Markdown'a dönüştürürken metin düğümlerindeki HTML-anlamlı karakterleri (açı parantezleri) yeterince kaçırmaz. Markdown meta karakterlerinin küçük bir kümesi kaçırılmış olsa da, < ve > gibi karakterler korunur, bu nedenle to_html()'de güvenli olan güvenilmeyen girdiler — örneğin varlık-deşifre edilmiş metin (ör. <script>) veya <title>, <textarea>, <noscript> ve <plaintext> gibi RCDATA/RAWTEXT-parçalanmış öğelerden metin — Markdown çıktısında ham HTML olarak yayınlanabilir, böylece bir sanitizör atlatma ve o çıktı işlendiğinde potansiyel olarak cross-site scripting ermöglicht.

Orijinal açıklama (İngilizce)

justhtml versions <= 1.11.0 (fixed in 1.12.0) do not sufficiently escape HTML-significant characters (angle brackets) in text nodes when converting a parsed document to Markdown via to_markdown(). While a small set of Markdown metacharacters are escaped, characters such as < and > are preserved, so untrusted input that is safe in to_html() — including entity-decoded text (e.g. <script>) or text from RCDATA/RAWTEXT-parsed elements like <title>, <textarea>, <noscript>, and <plaintext> — can be emitted as raw HTML in the Markdown output, enabling a sanitizer bypass and potential cross-site scripting when that output is rendered.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.